Boletín de seguridad de Microsoft MS06-003

Microsoft ha probado las siguientes soluciones provisionales. Aunque estas soluciones provisionales no corrigen la vulnerabilidad subyacente, ayudan a bloquear los tipos de ataque conocidos. Cuando una solución temporal reduce la funcionalidad, se identifica en la siguiente sección.

¿Cuál es el alcance de esta vulnerabilidad?
Se trata de una vulnerabilidad de ejecución remota de código. Un atacante que aprovechara esta vulnerabilidad podría lograr el control completo de un sistema afectado. De esta forma, un intruso podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con todos los derechos de usuario. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.

¿Cuál es la causa de esta vulnerabilidad?
Microsoft Exchange Server y Outlook utilizan el protocolo TNEF. La vulnerabilidad radica en que Outlook o Exchange descodifican mensajes de correo electrónico especialmente diseñados que utilizan el protocolo TNEF.

¿Qué es TNEF?
El encapsulamiento neutro para el transporte (TNEF) es un formato que utilizan los clientes de correo electrónico de Outlook y Microsoft Exchange Server al enviar mensajes en RTF. Cuando Microsoft Exchange considera que se está realizando el envío de un mensaje a otro cliente de correo electrónico de Microsoft, extrae toda la información de formato y la codifica en un bloque TNEF especial. Seguidamente, envía el mensaje en dos partes: el mensaje de texto sin el formato y las instrucciones de formato en el bloque TNEF. En el equipo que recibe el mensaje, el cliente de correo electrónico de Microsoft procesa el bloque TNEF y devuelve el formato al mensaje.

¿Para qué puede utilizar un atacante esta vulnerabilidad?
Un atacante que aprovechara con éxito esta vulnerabilidad podría obtener el control completo del sistema afectado.

¿Quién podría aprovechar esta vulnerabilidad?
Cualquier usuario anónimo que pudiera enviar un mensaje especialmente diseñado a un usuario que utilice Outlook o Exchange Server podría aprovechar esta vulnerabilidad.

¿Qué sistemas están más expuestos a esta vulnerabilidad?
Los sistemas con más riesgo de sufrir un ataque son las estaciones de trabajo y los servidores Microsoft Exchange. Los servidores podrían correr un mayor riesgo si algún usuario que no tenga los suficientes permisos administrativos tiene la capacidad de iniciar sesiones en el servidor y ejecutar programas. Sin embargo, las prácticas recomendadas desaconsejan permitir esto.

¿Cómo funciona esta actualización?
Esta actualización elimina la vulnerabilidad modificando el modo en que Outlook y Microsoft Exchange Server validan la longitud de los mensajes antes de transferirlos al búfer asignado.

En el momento de emitir este boletín de seguridad, ¿se había divulgado ya esta vulnerabilidad?
No. Microsoft recibió información acerca de esta vulnerabilidad a través de una fuente responsable. En el momento de emitir este boletín de seguridad, Microsoft no había recibido información alguna que indicara que esta vulnerabilidad se hubiera divulgado.

En el momento de publicar este boletín de seguridad, ¿había recibido Microsoft algún informe que indicase que se estaba utilizando esta vulnerabilidad?
No. En el momento de publicar este boletín de seguridad, Microsoft no había recibido ninguna información que indicara que esta vulnerabilidad se hubiera utilizado para atacar a clientes y no tenía constancia de que se hubiera publicado código demostrativo.

Importante: antes de instalar esta actualización, asegúrese de que se cumplen los siguientes requisitos:

Para obtener información adicional acerca de cómo determinar la versión de Office 2000 instalada en el equipo, consulte el artículo 255275 de Microsoft Knowledge Base.

Requisito de reinicio

Para reducir las posibilidades de que sea preciso un reinicio, detenga todos los servicios afectados y cierre todas las aplicaciones que puedan utilizar los archivos afectados antes de instalar la actualización de seguridad. Para obtener más información acerca de los motivos por los que se le puede pedir que reinicie, consulte el artículo 887012 de Microsoft Knowledge Base.

Información sobre la eliminación

Una vez instalada la actualización, ésta no se puede desinstalar. Para revertir a una instalación anterior a la de la actualización, debe quitar la aplicación y, después, instalarla de nuevo desde el CD-ROM original.

Sitio Web de Office Update

Microsoft recomienda instalar las actualizaciones del cliente de Microsoft Office 2000 utilizando el sitio Web de Office Update. El sitio Web de Office Update detecta su instalación específica y le ofrece la posibilidad de instalar exactamente lo necesario para asegurar que la instalación está completamente actualizada.

Para que el sitio Web de Office Update detecte las actualizaciones necesarias que debe instalar en su equipo, visite el sitio Web de Office Update y haga clic en Buscar actualizaciones. Cuando finalice la detección, recibirá una lista de actualizaciones recomendadas para que apruebe las que desee. Haga clic en Aceptar e instalar para completar el proceso.

Para obtener información detallada acerca de cómo instalar manualmente esta actualización, revise la sección siguiente.

Información sobre la instalación

La actualización de seguridad admite los parámetros de instalación que se indican a continuación.

Nota Estos parámetros no funcionan necesariamente con todas las actualizaciones. Si un parámetro no está disponible, se necesita esa funcionalidad para la correcta instalación de la actualización. Además, no se admite el uso del parámetro /n:v y podría impedir el reinicio del sistema. Si la instalación no se realiza correctamente, debería ponerse en contacto con el servicio de soporte técnico para saber el motivo.

Para obtener información adicional acerca de los parámetros de instalación admitidos, vea el artículo 197147 de Microsoft Knowledge Base.

Información sobre la implementación del cliente

Nota Si ya se ha instalado la actualización de seguridad en el equipo, aparecerá un mensaje de error similar al siguiente: Esta actualización ya se ha aplicado o forma parte de una actualización que ya se ha aplicado.

Información de archivos de instalación del cliente

La versión en inglés de esta actualización tiene los atributos de archivo indicados en la tabla siguiente. Las fechas y horas de estos archivos se muestran en el horario universal coordinado (UTC). Cuando se consulta la información de archivo, ésta se convierte al horario local. Para averiguar la diferencia entre el horario universal coordinado y el local, utilice la ficha Zona horaria en la herramienta Fecha y hora del Panel de control.

Outlook 2000:

Paquetes multilingües de Office 2000:

Comprobación de que se ha aplicado la actualización

Si ha instalado la aplicación desde una ubicación de servidor, el administrador del servidor debe actualizar la ubicación de servidor con la actualización administrativa e implementar la actualización en su equipo.

Información sobre la instalación

Los parámetros de instalación que se indican a continuación se usan para las instalaciones administrativas, ya que permiten a los administradores personalizar el modo en que los archivos se extraen de la actualización de seguridad.

Para obtener información adicional acerca de los parámetros de instalación admitidos, vea el artículo 197147 de Microsoft Knowledge Base.

Información sobre la implementación administrativa

Para actualizar la instalación administrativa, siga el procedimiento que se indica a continuación:

[ruta de acceso\nombre del archivo EXE] /c /t:C:\AdminUpdate

Nota  Si se hace doble clic en el archivo .exe, no se extraerá el archivo .msp, sino que se aplicará la actualización al equipo local. Para instalar una actualización en una imagen administrativa, antes debe extraer el archivo .msp.

msiexec /a Ruta de acceso administrativa\Archivo MSI /p C:\adminUpdate\Archivo MSP SHORTFILENAMES=TRUE

Donde Ruta de acceso administrativa es la ruta de acceso al punto de instalación administrativa de la aplicación (por ejemplo, C:\Office2000), Archivo MSI es el paquete de base de datos .msi del producto de la aplicación (por ejemplo, Data1.msi) y Archivo MSP es el nombre de la actualización administrativa (por ejemplo, SHAREDff.msp).

Nota Puede anexar /qb+ a la línea de comandos para que el cuadro de diálogo Instalación administrativa y el cuadro de diálogo Contrato de licencia para el usuario final no aparezcan.

En este momento, el punto de administración administrativa se actualiza. A continuación, debe actualizar las estaciones de trabajo que se instalaron originalmente a partir de esta instalación administrativa. Para ello, revise la sección Implementación de la estación de trabajo. Cualquier instalación nueva que realice desde este punto de instalación administrativa incluirá la actualización.

Advertencia Cualquier estación de trabajo que se instalara originalmente a partir de esta instalación administrativa antes de instalar la actualización no puede usar esta instalación administrativa para acciones como reparar Office o agregar características nuevas hasta que complete los pasos en la sección Implementación de la estación de trabajo para esta estación de trabajo.

Información sobre la implementación de la estación de trabajo

Para implementar la actualización en las estaciones de trabajo cliente, haga clic en Inicio y, después, en Ejecutar. Escriba el siguiente comando en el cuadro Abrir:

msiexec /i Ruta de acceso administrativa\Archivo MSI /qb REINSTALL=Lista de características REINSTALLMODE=vomu

Donde Ruta de acceso administrativa es la ruta de acceso al punto de instalación administrativa de la aplicación (por ejemplo, C:\Office2003), Archivo MSI es el paquete de base de datos .msi del producto de la aplicación (por ejemplo, Data1.msi) y Lista de características es la lista de nombres de características (se distingue entre mayúsculas y minúsculas) que se deben volver a instalar en la actualización. Para instalar todas las características, puede utilizar REINSTALL=ALL, o bien puede instalar las siguientes características.

Nota Los administradores que trabajan en entornos administrados pueden encontrar recursos completos para implementar actualizaciones de Office en una organización en Office Admin Update Center. En la página inicial de ese sitio, busque en la sección Update Strategies la versión del software que va a actualizar. La documentación de Windows Installer proporciona información adicional acerca de los parámetros que admite.

Información sobre los archivos de la instalación administrativa

La versión en inglés de esta actualización tiene los atributos de archivo indicados en la tabla siguiente. Las fechas y horas de estos archivos se muestran en el horario universal coordinado (UTC). Cuando se consulta la información de archivo, ésta se convierte al horario local. Para averiguar la diferencia entre el horario universal coordinado y el local, utilice la ficha Zona horaria en la herramienta Fecha y hora del Panel de control.

Outlook 2000:

Paquetes multilingües de Office 2000:

Comprobación de que se ha aplicado la actualización

Importante: antes de instalar esta actualización, asegúrese de que se cumplen los siguientes requisitos:

Para obtener información adicional acerca de cómo determinar la versión de Office XP instalada en su equipo, consulte el artículo 291331 de Microsoft Knowledge Base. Para obtener datos adicionales acerca de la información de la versión que se muestra en el cuadro de diálogo Acerca de, consulte el artículo 328294 de Microsoft Knowledge Base.

Requisito de reinicio

Para reducir las posibilidades de que sea preciso un reinicio, detenga todos los servicios afectados y cierre todas las aplicaciones que puedan utilizar los archivos afectados antes de instalar la actualización de seguridad. Para obtener más información acerca de los motivos por los que se le puede pedir que reinicie, consulte el artículo 887012 de Microsoft Knowledge Base.

Información sobre la eliminación

Para eliminar esta actualización de seguridad, utilice la herramienta Agregar o quitar programas del Panel de control.

Nota Al eliminar esta actualización, es posible que deba insertar el CD de Microsoft Office XP en la unidad de CD. Además, tal vez no tenga la opción de desinstalar la actualización con la herramienta Agregar o quitar programas del Panel de control. Existen varios factores que pueden provocar este problema. Para obtener más información acerca de la eliminación, consulte el artículo 903771 de Microsoft Knowledge Base.

Sitio Web de Office Update

Esta actualización estará también disponible en el sitio Web Microsoft Update. Microsoft Update consolida las actualizaciones proporcionadas por Windows Update y Office Update en una sola ubicación y le permite elegir la descarga e instalación automática de actualizaciones de alta prioridad. Es recomendable que instale esta actualización utilizando el sitio Web de Microsoft Update. El sitio Web Microsoft Update detecta su instalación específica y le ofrece la posibilidad de instalar exactamente lo necesario para garantizar que la instalación está completamente actualizada.

Para que el sitio Web Microsoft Update detecte las actualizaciones necesarias que debe instalar en el equipo, visite el sitio Web Microsoft Update. Podrá elegir entre Rápida (recomendada) o Personalizada. Cuando finalice la detección, recibirá una lista de actualizaciones recomendadas para que apruebe las que desee. Haga clic en Instalar actualizaciones o en Revisar e instalar actualizaciones para completar el proceso.

Para obtener información detallada acerca de cómo instalar manualmente esta actualización, revise la sección siguiente.

Información sobre la instalación

La actualización de seguridad admite los siguientes parámetros de instalación:

Nota Estos parámetros no funcionan necesariamente con todas las actualizaciones. Si un parámetro no está disponible, se necesita esa funcionalidad para la correcta instalación de la actualización. Además, no se admite el uso del parámetro /n:v y podría impedir el reinicio del sistema. Si la instalación no se realiza correctamente, debería ponerse en contacto con el servicio de soporte técnico para saber el motivo.

Para obtener información adicional acerca de los parámetros de instalación admitidos, vea el artículo 197147 de Microsoft Knowledge Base.

Información sobre la implementación del cliente

Nota Si ya se ha instalado la actualización de seguridad en el equipo, aparecerá un mensaje de error similar al siguiente: Esta actualización ya se ha aplicado o forma parte de una actualización que ya se ha aplicado.

Información de archivos de instalación del cliente

La versión en inglés de esta actualización tiene los atributos de archivo indicados en la tabla siguiente. Las fechas y horas de estos archivos se muestran en el horario universal coordinado (UTC). Cuando se consulta la información de archivo, ésta se convierte al horario local. Para averiguar la diferencia entre el horario universal coordinado y el local, utilice la ficha Zona horaria en la herramienta Fecha y hora del Panel de control.

Outlook 2002:

Paquete de interfaz de usuario multilingüe de Office XP

Comprobación de que se ha aplicado la actualización

Si ha instalado la aplicación desde una ubicación de servidor, el administrador del servidor debe actualizar la ubicación de servidor con la actualización administrativa e implementar la actualización en su equipo.

Información sobre la instalación

Los parámetros de instalación que se indican a continuación se usan para las instalaciones administrativas, ya que permiten a los administradores personalizar el modo en que los archivos se extraen de la actualización de seguridad.

Para obtener información adicional acerca de los parámetros de instalación admitidos, vea el artículo 197147 de Microsoft Knowledge Base.

Información sobre la implementación administrativa

Para actualizar la instalación administrativa, siga el procedimiento que se indica a continuación:

[ruta de acceso\nombre del archivo EXE] /c /t:C:\AdminUpdate

Nota  Si se hace doble clic en el archivo .exe, no se extraerá el archivo .msp, sino que se aplicará la actualización al equipo local. Para instalar una actualización en una imagen administrativa, antes debe extraer el archivo .msp.

msiexec /a Ruta de acceso administrativa\Archivo MSI /p C:\adminUpdate\Archivo MSP SHORTFILENAMES=TRUE

Donde Ruta de acceso administrativa es la ruta de acceso del punto de instalación administrativa de la aplicación (por ejemplo, C:\OfficeXP), Archivo MSI es el paquete de base de datos .msi de la aplicación (por ejemplo, PRO.msi) y Archivo MSP es el nombre de la actualización administrativa (por ejemplo, OLKINTLff.msp).

Nota Puede anexar /qb+ a la línea de comandos para que el cuadro de diálogo Instalación administrativa y el cuadro de diálogo Contrato de licencia para el usuario final no aparezcan.

En este momento, el punto de administración administrativa se actualiza. A continuación, debe actualizar las estaciones de trabajo que se instalaron originalmente a partir de esta instalación administrativa. Para ello, revise la sección Implementación de la estación de trabajo. Cualquier instalación nueva que realice desde este punto de instalación administrativa incluirá la actualización.

Advertencia Cualquier estación de trabajo que se instalara originalmente a partir de esta instalación administrativa antes de instalar la actualización no puede usar esta instalación administrativa para acciones como reparar Office o agregar características nuevas hasta que complete los pasos en la sección Implementación de la estación de trabajo para esta estación de trabajo.

Información sobre la implementación de la estación de trabajo

Para implementar la actualización en las estaciones de trabajo cliente, haga clic en Inicio y, después, en Ejecutar. Escriba el siguiente comando en el cuadro Abrir:

msiexec /i Ruta de acceso administrativa\Archivo MSI /qb REINSTALL=Lista de características REINSTALLMODE=vomu

Donde Ruta de acceso administrativa es la ruta de acceso al punto de instalación administrativa de la aplicación (por ejemplo, C:\OfficeXP), Archivo MSI es el paquete de base de datos .msi de la aplicación (por ejemplo, PRO.msi) y Lista de características es la lista de nombres de características (se distingue entre mayúsculas y minúsculas) que se deben volver a instalar en la actualización. Para instalar todas las características, puede utilizar REINSTALL=ALL, o bien puede instalar las siguientes características.

Nota Los administradores que trabajan en entornos administrados pueden encontrar recursos completos para implementar actualizaciones de Office en una organización en Office Admin Update Center. En la página inicial de ese sitio, busque en la sección Update Strategies la versión del software que va a actualizar. La documentación de Windows Installer proporciona información adicional acerca de los parámetros que admite.

Información sobre los archivos de la instalación administrativa

La versión en inglés de esta actualización tiene los atributos de archivo indicados en la tabla siguiente. Las fechas y horas de estos archivos se muestran en el horario universal coordinado (UTC). Cuando se consulta la información de archivo, ésta se convierte al horario local. Para averiguar la diferencia entre el horario universal coordinado y el local, utilice la ficha Zona horaria en la herramienta Fecha y hora del Panel de control.

Outlook 2002: